Firewall Regeln für das OEE Gateway: Was die IT verlangen sollte

Das Wichtigste in Kürze

• Platzieren Sie das Gateway auf Level 3 oder in der DMZ, niemals im Büronetz.
• Richtung Maschinen, nur lesend: nur die gelisteten SPSen, nur über ihr eigenes Protokoll.
• Richtung Cloud, nur ausgehend: verschlüsselt, zu benannten Hosts.
• Keine eingehende Regel aus dem Internet ins OT Netz.
• Protokollieren Sie jede Verbindung und prüfen Sie die Regeln, wenn sich eine Linie ändert.

Geben Sie einem OEE Gateway so wenig wie möglich. Es muss auf der einen Seite die Maschinen lesen und auf der anderen Daten nach außen senden. Es braucht nie eine aus dem Internet eingehende Verbindung, und es muss nie in eine SPS schreiben.

Fabrico, OEE und Light MES Software mit KI-Kameras, beschreibt diesen Aufbau in seinem eigenen Artikel zur SPS-Anbindung. Es ist ein nur lesendes Gateway in der DMZ, das Daten ausschließlich ausgehend über HTTPS sendet. Die genauen Regeln für Ihr Werk werden mit dem technischen Team von Fabrico abgestimmt. Unten finden Sie eine Checkliste, die Ihre IT und OT Verantwortlichen mit jedem Anbieter nutzen können.

Wo sollte ein OEE Gateway im Werksnetz sitzen?

Die meisten Werke beschreiben ihr Netz mit dem Purdue Modell. Es ordnet die Systeme in Ebenen:

• Level 0 bis 2: Sensoren, Maschinen und ihre SPSen.
• Level 3: Standortbetrieb, wo MES und OEE Systeme laufen.
• Level 3.5: die industrielle DMZ, mit Firewalls, Proxys, Historian-Kopien und Jump Servern.
• Level 4: Business IT, ohne direkte Verbindung zu Level 2 oder darunter.

Die DMZ ist der Puffer zwischen beiden. Das spanische nationale CERT, INCIBE, schreibt, die DMZ „verhindert oder erschwert zumindest“, dass Angriffe zwischen IT und OT übergreifen.

Ein OEE Gateway gehört auf Level 3 oder in diese DMZ. Von dort erreicht es die SPSen, die es liest, und kann Daten über einen kontrollierten Pfad nach außen senden.

Welche Firewall Regeln braucht ein OEE Gateway?

Wenige, und alle werden vom Gateway selbst aufgebaut.

1. Zu jeder gelisteten SPS: Erlauben Sie das Gateway über das Protokoll dieser SPS, mit einem nur lesenden Konto. Sperren Sie jedes andere Gerät.
2. Zu den Servern des Anbieters: Erlauben Sie nur ausgehend, verschlüsselt, zu benannten Hostnamen. HTTPS oder MQTT über TLS sind die übliche Wahl.
3. Zeit und Namen: Erlauben Sie den werkseigenen Zeitserver und DNS. Stoppzeiten sind nur so gut wie die Uhr.
4. Supportzugang: Falls der Anbieter ihn braucht, führen Sie ihn über Ihren Jump Server, pro Sitzung freigeschaltet und protokolliert.
5. Alles andere: sperren, und protokollieren, was gesperrt wird.

Durchgerechnetes Beispiel: ein Beispiel-Regelwerk für eine Linie

Beispiellinie (Beispielzahlen, kein Kunde). Linie 4 hat drei Maschinen. Das OEE Gateway sitzt in der Zone „Linie 4 OT“. Die Ports unten sind die üblichen Standardwerte; bestätigen Sie sie für jedes Gerät und mit Ihrem Anbieter.

Das sind 6 Erlaubnisregeln, jede davon eine Verbindung, die das Gateway öffnet. Die Firewall braucht 0 eingehende Erlaubnisregeln. Wenn ein Anbieter eine verlangt, fragen Sie schriftlich nach dem Grund.

Das gleiche Muster skaliert. Eine zweite Linie bringt ihre eigenen SPS-Regeln mit. Die ausgehende Regel bleibt gleich.

Was sollte die IT einen OEE Anbieter zur Sicherheit fragen?

Das Risiko ist real. In einer Umfrage unter 1.560 Entscheidern aus der Fertigung in 17 Ländern hatten 46% im vergangenen Jahr einen Cyber-Vorfall. Sicherheit und Compliance standen auf ihrer Liste der MES Kaufkriterien an zweiter Stelle, genannt von 43%.

• Welche Teile der IEC 62443 setzen Sie um? Ein Softwareanbieter wird nach Teil 4-1, dem sicheren Entwicklungsprozess, und Teil 4-2, den Anforderungen an Komponenten, beurteilt.
• Ist jede SPS-Verbindung nur lesend? Kann unser Automatisierungsingenieur die vollständige Tagliste sehen?
• Welche Hosts und Ports ruft das Gateway auf? Holen Sie die Liste vor der Installation, nicht danach.
• Wie werden Passwörter und Zertifikate gespeichert und gewechselt?
• Wie gelangen Updates auf das Gateway, und wer gibt sie frei?
• Wer kann das Gateway für Support erreichen, und wo wird das protokolliert?
• Was passiert mit den Daten, wenn die Verbindung ausfällt?

Unser Leitfaden zu Zonen und Conduits nach IEC 62443 erklärt, wie Sie Geräte in Zonen gruppieren. Der Cloud MES Einkaufsleitfaden für die IT ergänzt Fragen zu Verfügbarkeit und Datenhoheit.

Welche Fehler öffnen das OT Netz?

1. Ein Gateway im Büronetz mit einem Pfad hinunter zu den SPSen.
2. Eine eingehende Portweiterleitung, die „für den Support“ offen gelassen wurde.
3. Eine „any to any“ Regel, die von der Inbetriebnahme übrig ist.
4. Schreibrechte für das SPS-Konto des Gateways.
5. Ein gemeinsames Admin-Passwort auf den Gateways aller Standorte.
6. Keine Zeitsynchronisation, sodass Firewall-Logs und Stoppprotokolle nicht zusammenpassen.

Wo Fabrico ins Spiel kommt

Fabrico ist eine Manufacturing Performance Plattform mit Computer Vision. OEE und Light MES stehen an erster Stelle. Es liest das Maschinensignal, erfasst jeden Stopp und bewertet ihn in Geld.

• Automatische Stillstandserfassung aus SPS-Tags, IoT Geräten oder Kameras.
• OEE live nach Linie und Schicht, mit jedem Verlust in Geld bewertet.
• Ein Kameraclip als Nachweis für einen Stopp, wo eine Kamera hinschaut.
• Ein Pilot an einer Linie, der der IT einen kleinen, klaren Umfang zur ersten Prüfung gibt.

Fabricos Artikel zur SPS-Anbindung für OEE beschreibt sein nur lesendes Gateway in der DMZ mit ausschließlich ausgehendem HTTPS. Die Architektur für Ihr Werk wird vor der Installation mit dem technischen Team von Fabrico bestätigt. Sehen Sie das Produkt auf der Seite zu OEE mit Computer Vision, und weitere IT Fragen in OEE Software für IT Leiter.

Es gibt keinen kostenlosen Plan und keine Stufen: Jedes Werk erhält ein Angebot.

Häufig gestellte Fragen

Braucht ein OEE System eingehende Firewall Regeln?

Das sollte es nicht. Das Gateway öffnet jede Verbindung selbst: hinunter zu den SPSen, die es liest, und hinaus zu den Servern des Anbieters. Nichts aus dem Internet muss ins OT Netz hineinreichen. Wenn ein Anbieter eine eingehende Regel verlangt, fordern Sie schriftlich den Grund und eine Alternative an.

Sollte das OEE Gateway in der DMZ sitzen?

Level 3 oder die industrielle DMZ auf Level 3.5 sind die üblichen Orte. Beide halten das Gateway vom Büronetz fern, während es die SPSen, die es liest, weiterhin erreicht. Ihr OT Sicherheitsverantwortlicher entscheidet, welche Zone zu Ihrem Werk passt, je nachdem, wie das Netz bereits aufgeteilt ist.

Kann ein OEE Gateway in die SPS schreiben?

Das sollte es nicht können. Geben Sie seinem Konto nur Leserechte auf der SPS oder dem OPC UA Server und prüfen Sie das in der Steuerung. OEE braucht Zustände, Zählerstände und Fehlercodes. Nichts davon erfordert, auch nur einen einzigen Wert in die Maschine zurückzuschreiben.

Welche Ports nutzt ein OEE Gateway?

Das hängt von den SPS-Protokollen an Ihren Linien ab und davon, wie der Anbieter Daten nach außen sendet. Fordern Sie vor der Installation die vollständige Liste der Hosts und Ports an. Das Beispiel-Regelwerk oben zeigt einen typischen Aufbau: einige nur lesende Regeln nach unten, eine verschlüsselte Regel nach außen.

Ist ein Cloud OEE System sicher für ein OT Netz?

Das kann es sein, wenn das Gateway in der richtigen Zone sitzt, nur liest und Daten ausschließlich ausgehend über eine verschlüsselte Verbindung sendet. Prüfen Sie den Entwicklungsprozess des Anbieters gegen IEC 62443 Teile 4-1 und 4-2, und starten Sie mit einer Linie, damit die IT einen kleinen Umfang prüfen kann.

Bringen Sie Ihre Netzwerkfragen zu einer Demo mit

Bringen Sie Ihr OT Netzwerkdiagramm mit. Wir zeigen, wo das Gateway sitzt und was die Stopps einer Linie pro Schicht kosten.

Demo anfragen · Kontakt